Private VLANs

Die Trennung eines einzelnen VLANs ist besonders in den folgenden Implementierungsszenarien hilfreich:

• Serverfarmen: Ein typischer Internetdienstanbieter verwendet eine Serverfarm, um Zahlreiche Kunden Webhosting zu bieten. Das Auffinden der verschiedenen Server innerhalb einer einzelnen Serverfarm sorgt für eine einfache Verwaltung. Sicherheitsbedenken entstehen, wenn sich alle Server im selben VLAN befinden, da Layer-2-Broadcasts an alle Server im VLAN gehen.

• Städtische Ethernet-Netzwerke: Ein Metro-Service Provider bietet Layer-2-Ethernet-Zugriff für verschiedene Haushalte, Vermietungsgemeinschaften und Unternehmen. Die herkömmliche Lösung, bei der pro Kunde ein VLAN bereitgestellt wird, ist nicht skalierbar und schwer zu verwalten, was zu potenzieller Verschwenden von IP-Adressen führt. PVLANs bieten eine sicherere und effizientere Lösung.

Ein PVLAN kann auf einem einzelnen Switch konfiguriert oder für mehrere Switches konfiguriert werden. Zu den Arten von Domänen und Ports gehören:

• Primäres VLAN: Das primäre VLAN des PVLAN wird mit einem 802.1Q-Tag (VLAN-ID) für das vollständige PVLAN definiert. Das primäre PVLAN kann mehrere sekundäre VLANs (ein isoliertes VLAN und mehrere Community-VLANs) enthalten.

• Isolierter VLAN/isolierter Port: Ein primäres VLAN kann nur ein isoliertes VLAN enthalten. Eine Schnittstelle innerhalb eines isolierten VLAN kann Pakete nur an einen Promiscuous-Port oder einen ISL-Port (Inter-Switch Link) senden. Eine isolierte Schnittstelle kann Pakete nicht an eine andere isolierte Schnittstelle übertragen. und eine isolierte Schnittstelle kann Pakete nicht von einer anderen, voneinander isolierten Schnittstelle empfangen. Wenn ein Kundengerät nur Zugriff auf einen Gateway-Router haben muss, muss es an einen isolierten Trunkport angeschlossen werden.

• Community-VLAN/Community-Port: Sie können mehrere Community-VLANs innerhalb eines einzigen PVLAN konfigurieren. Eine Schnittstelle innerhalb eines bestimmten Community-VLAN kann Layer 2-Kommunikation mit jeder anderen Schnittstelle herstellen, die zur gleichen Community VLAN gehört. Eine Schnittstelle innerhalb eines Community-VLAN kann auch mit einem Promiscuous-Port oder dem ISL-Port kommunizieren. Wenn Sie beispielsweise zwei Kundengeräte haben, die Sie von anderen Kundengeräten isolieren müssen, die jedoch miteinander kommunizieren können müssen, verwenden Sie Community-Ports.

• Promiscuous-Port: Ein Promiscuous-Port verfügt über eine Layer 2-Kommunikation mit allen Schnittstellen im PVLAN, unabhängig davon, ob eine Schnittstelle zu einem isolierten VLAN oder einem Community-VLAN gehört. Ein Promiscuous-Port ist ein Mitglied des primären VLAN, aber nicht in eine sekundäre Subdomain enthalten. Layer-3-Gateways, DHCP-Server und andere vertrauenswürdige Geräte, die mit Endgeräten kommunizieren müssen, sind normalerweise mit einem promiscuous Port verbunden.

• Inter-Switch Link (ISL): Ein ISL ist ein Trunkport, der mehrere Switches in einem PVLAN verbindet und zwei oder mehr VLANs enthält. Dies ist nur erforderlich, wenn ein PVLAN mehrere Switches überspannt.

Das konfigurierte PVLAN ist die primäre Domäne (primäres VLAN). Innerhalb des PVLAN konfigurieren Sie sekundäre VLANs, die in die primäre Domain eingebettet sind. Ein PVLAN kann auf einem einzelnen Switch konfiguriert oder für mehrere Switches konfiguriert werden. Das in zwei Switches dargestellte PVLAN umfasst Abbildung 1 eine primäre PVLAN-Domäne und verschiedene Subdomains.

Abbildung 1: Subdomains in einem PVLAN

Wie in Abbildung 3 "PVLAN" dargestellt, hat ein PVLAN nur eine primäre und mehrere sekundäre Domänen. Zu den Domänentypen gehören:

• Primäres VLAN: VLAN für die Weiterverarbeitung von Frames nachgeschaltet zu isolierten und Community-VLANs. Das primäre VLAN des PVLAN wird für das gesamte PVLAN mit einem 802.1Q-Tag (VLAN-ID) definiert. Das primäre PVLAN kann mehrere sekundäre VLANs (ein isoliertes VLAN und mehrere Community-VLANs) enthalten.

• Sekundäres isoliertes VLAN: VLAN, das Pakete nur vom primären VLAN empfängt und Frames vorgeschaltet an das primäre VLAN weiter weitergeleitet. Das isolierte VLAN ist ein sekundäres VLAN, das in das primäre VLAN eingebettet ist. Ein primäres VLAN kann nur ein isoliertes VLAN enthalten. Eine Schnittstelle in einem isolierten VLAN (isolierte Schnittstelle) kann Pakete nur an einen Promiscuous-Port oder den PVLAN-Trunkport übertragen. Eine isolierte Schnittstelle kann Pakete nicht an eine andere isolierte Schnittstelle übertragen. kann aber Pakete von einer anderen, voneinander isolierten Schnittstelle nicht empfangen. Wenn ein Kundengerät nur auf einen Router zugreifen muss, muss es an einen isolierten Trunkport angeschlossen werden.

• Sekundärer Interswitch isoliertes VLAN: VLAN verwendet, um isolierten VLAN-Datenverkehr von einem Switch über PVLAN-Trunk-Ports an einen anderen zu übertragen. 802.1Q-Tags sind für isolierte Interswitch-VLANs erforderlich, da IEEE 802.1Q einen internen Tagging-Mechanismus verwendet, durch den ein Trunking-Gerät eine 4-Byte VLAN-Frame-Identifizierungs-Registerkarte in den Paket-Header einträgt. Ein isoliertes Interswitch-VLAN ist ein sekundäres VLAN, das in das primäre VLAN eingebettet ist.

• Sekundäres VLAN für die Community: VLAN verwendet, um Frames zwischen Mitgliedern einer Community (eine Untergruppe von Benutzern innerhalb des VLAN) zu transporten und Frames an das primäre VLAN weiter zu weitergeleitet. Ein Community-VLAN ist ein sekundäres VLAN, das in das primäre VLAN eingebettet ist. Sie können mehrere Community-VLANs in einem einzigen PVLAN konfigurieren. Eine Schnittstelle innerhalb eines bestimmten Community-VLAN kann Layer 2-Kommunikation mit jeder anderen Schnittstelle herstellen, die zur gleichen Community VLAN gehört. Eine Schnittstelle innerhalb eines Community-VLAN kann auch mit einem Promiscuous-Port oder dem PVLAN-Trunkport kommunizieren.

Abbildung 2 zeigt ein PVLAN, das mehrere Switches umspannt, wobei das primäre VLAN ( ) zwei Community-Domänen und ) und eine isolierte 100(300400 Interswitch-Domäne enthält.

Abbildung 2: PVLAN-Spanning Multiple Switches (PVLAN über mehrere Switches)

Das konfigurierte PVLAN wird zur primären Domäne, und sekundäre VLANs werden zu Subdomains, die in der primären Domäne verschachtelt sind. Ein PVLAN kann auf einem einzelnen Router erstellt werden. Das hier dargestellte PVLAN Abbildung 3 umfasst einen Router mit einer primären PVLAN-Domäne und mehreren sekundären Subdomains.

Abbildung 3: Subdomains in einem PVLAN mit einem Router

Zu den Domänentypen gehören:

• Primäres VLAN: VLAN für die Weiterverarbeitung von Frames nachgeschaltet zu isolierten und Community-VLANs.

• Sekundäres isoliertes VLAN: VLAN, das Pakete nur vom primären VLAN empfängt und Frames vorgeschaltet an das primäre VLAN weiter weitergeleitet.

• Sekundäres Interswitch-isoliertes VLAN: VLAN verwendet, um isolierten VLAN-Datenverkehr von einem Router über PVLAN-Trunk-Ports an einen anderen zu übertragen.

• Sekundäres VLAN für die Community: VLAN für den Transport von Frames zwischen Mitgliedern einer Community, bei der es sich um eine Untergruppe von Benutzern innerhalb des VLAN handelt, und um Frames vorgelagert an das primäre VLAN weiter zu weitergeleitet.

Abbildung 4 zeigt ein PVLAN auf einem einzelnen Switch, in dem das primäre VLAN (VLAN) 100 zwei Community-VLANs (VLAN und VLAN) und ein 300400 isoliertes VLAN (VLAN) 50 enthält.

Abbildung 4: Privates VLAN auf einem einzelnen EX-Switch

Abbildung 5 zeigt ein PVLAN, das mehrere Switches umspannt, wobei das primäre VLAN (VLAN) zwei 100 Community-VLANs (VLAN und VLAN) und ein 300400 isoliertes VLAN (VLAN 200) enthält. Sie zeigt auch, dass Switch 1 und 2 über eine Interswitch-Verbindung (PVLAN-Trunkverbindung) verbunden sind.

Abbildung 5: PVLAN spannt mehrere Switches der EX-Serie

Darüber hinaus werden in den PVLANs ein Promiscuous-Port verwendet, der mit einem Router verbunden ist, um den Layer-3-Datenverkehr zwischen der Community und den isolierten Abbildung 4Abbildung 5 VLANs zu routen. Anstatt den promiscuous Port zu verwenden, der mit einem Router verbunden ist, können Sie eine RVI auf dem Switch oder einen der gezeigten Abbildung 4Abbildung 5 Switches (auf einigen EX-Switches) konfigurieren.

Für das Routen von Layer 3-Datenverkehr zwischen isolierten und Community-VLANs müssen Sie entweder einen Router mit einem Promiscuous-Port verbinden,wie in gezeigt, oder eine Abbildung 4Abbildung 5 RVI konfigurieren.

Wenn Sie sich für die RVI-Option entscheiden, müssen Sie eine RVI für das primäre VLAN in der PVLAN-Domäne konfigurieren. Dieser RVI dient der gesamten PVLAN-Domain, unabhängig davon, ob die Domäne einen oder mehrere Switches umfasst. Nachdem Sie den RVI konfiguriert haben, werden von den sekundären VLAN-Schnittstellen empfangene Layer 3-Pakete zugeordnet und vom RVI geroutet.

Beim Einrichten der RVI müssen Sie auch das Proxy Address Resolution Protocol (ARP) aktivieren, damit die RVI ARP-Anforderungen verarbeiten kann, die an die sekundären VLAN-Schnittstellen empfangen werden.

Informationen zur Konfiguration von PVLANs auf einem einzelnen Switch und auf mehreren Switches finden Sie unter Erstellen eines privaten VLANs auf einem einzelnen Switch der EX-Serie (einfachesCLI).Informationen zur Konfiguration einer RVI finden Sie unter Konfigurieren einer gerouteten VLAN-Schnittstelle in einem privaten VLAN auf einem Switch der EX-Serie.

Für das Routen von Layer 3-Datenverkehr zwischen isolierten und Community-VLANs müssen Sie einen externen Router oder Switch mit einem Trunk-Port des primären VLANs verbinden. Der Trunkport des primären VLAN ist ein Promiscuous-Port. daher kann es mit allen Ports im PVLAN kommunizieren.

Wenn Pakete mit einem kundenspezifischen 802.1Q-Tag markiert werden, wird die Eigentümerschaft der Pakete für jeden Switch oder Router im Netzwerk ermittelt. Manchmal werden in PVLANs 802.1Q-Tags benötigt, um Pakete von verschiedenen Subdomains zu verfolgen. Tabelle 1 gibt an, wann ein VLAN-802.1Q-Tag im primären VLAN oder in sekundären VLANs benötigt wird.

PVLANs bieten schutz vor IP-Adressen und eine effiziente Zuordnung von IP-Adressen. In einem typischen Netzwerk gehören VLANs normalerweise zu einem einzigen IP-Subnetz. In PVLANs gehören die Hosts in allen sekundären VLANs zum selben IP-Subnetz, da das Subnetz dem primären VLAN zugewiesen wird. Hosts innerhalb des sekundären VLAN werden IP-Adressen auf der Grundlage von IP-Subnetzen zugewiesen, die mit dem primären VLAN verknüpft sind. Ihre Informationen zur IP-Subnetzmaske enthalten die Informationen des primären VLAN-Subnetzes. Jedes sekundäre VLAN ist jedoch eine separate Broadcast-Domäne.

PVLANs können bis zu sechs verschiedene Porttypen nutzen. Das dargestellte Netzwerk nutzt einen promiscuous Port, um Informationen an den Router zu übertragen, Community-Ports, um die Finanz- und HR-Communitys mit ihren entsprechenden Switches zu verbinden, isolierte Ports zur Verbindung der Server und einen PVLAN-Trunkport zum Verbinden der beiden Abbildung 2 Switches. PVLAN-Ports unterliegen unterschiedlichen Einschränkungen:

• Promiscuous Trunk Port – Ein promiscuous Port verfügt über eine Layer 2-Kommunikation mit allen Schnittstellen im PVLAN, unabhängig davon, ob die Schnittstelle zu einem isolierten VLAN oder einem Community-VLAN gehört. Ein Promiscuous-Port ist ein Mitglied des primären VLAN, aber nicht in einer der sekundären Subdomains enthalten. Layer-3-Gateways, DHCP-Server und andere vertrauenswürdige Geräte, die mit Endgeräten kommunizieren müssen, sind normalerweise mit einem promiscuous Port verbunden.

• PVLAN-Trunkverbindung – Die PVLAN-Trunkverbindung, die auch als Interswitch-Verbindung bekannt ist, ist nur erforderlich, wenn ein PVLAN für die Spanung mehrerer Switches konfiguriert ist. Die PVLAN-Trunkverbindung verbindet die verschiedenen Switches, die das PVLAN aufstellen.

• PVLAN-Trunkport: In Multiswitch-PVLAN-Konfigurationen ist ein PVLAN-Trunkport erforderlich, der die Switches umspannt. Der PVLAN-Trunkport ist ein Mitglied aller VLANs innerhalb des PVLAN (d. h. dem primären VLAN, den Community-VLANs und dem isolierten Interswitch-VLAN) und über nimmt Datenverkehr vom primären VLAN und allen sekundären VLANs. Es kann mit allen Ports mit anderen als den isolierten Ports kommunizieren.

  Die Kommunikation zwischen einem PVLAN-Trunkport und einem isolierten Port erfolgt in der Regel unidirektional. Die Mitgliedschaft eines PVLAN-Trunkports im isolierten Interswitch-VLAN ist "Egress-Only". Das bedeutet, dass ein isolierter Port Pakete an einen PVLAN-Trunkport übertragen kann. Ein PVLAN-Trunkport führt Pakete jedoch nicht an einen isolierten Port weiter (wenn die Pakete nicht an einen promiscuous Access Port gesendet werden und daher an alle sekundären VLANs im selben primären VLAN wie der promiscuous Port weitergeleitet werden).

• Sekundärer VLAN-Trunkport (nicht dargestellt): Sekundäre Trunk-Ports tragen sekundären VLAN-Datenverkehr. Für ein bestimmtes privates VLAN kann ein sekundärer VLAN-Trunkport Datenverkehr für nur ein sekundäres VLAN transportieren. Ein sekundärer VLAN-Trunkport kann jedoch Datenverkehr für mehrere sekundäre VLANs portieren, solange jedes sekundäre VLAN Mitglied eines anderen primären VLANs ist. Beispielsweise kann ein sekundärer VLAN-Trunkport Datenverkehr für ein Community-VLAN, das Teil des primären VLAN pvlan100 ist, und Datenverkehr für ein isoliertes VLAN, das Teil des primären VLAN pvlan400 ist, weiter tragen.

• Community-Port: Community-Ports kommunizieren untereinander und mit ihren Promiscuous-Ports. Community-Ports dienen nur einer ausgewählten Gruppe von Benutzern. Diese Schnittstellen sind auf Layer 2 von allen anderen Schnittstellen in anderen Communities oder isolierten Ports innerhalb ihres PVLAN voneinander getrennt.

• Isolierter Zugriffsport – Isolierte Ports verfügen über Layer 2-Konnektivität nur mit Promiscuous-Ports und PVLAN-Trunk-Ports. Ein isolierter Port kann nicht mit einem anderen isolierten Port kommunizieren, selbst wenn diese beiden Ports Mitglieder der gleichen isolierten VLAN-Domäne (oder interswitch) sind. Normalerweise ist ein Server wie ein Mail-Server oder ein Backup-Server an einem isolierten Port verbunden. In einem Hotel sind die Zimmer in der Regel an einen isolierten Port angeschlossen, sodass eine Kommunikation zwischen den Zimmern nicht möglich ist. Jedes Zimmer kann jedoch über den Promiscuous-Port auf das Internet zugreifen.

• Promiscuous Access-Port (nicht dargestellt): Diese Ports tragen nicht-tags-Datenverkehr. Datenverkehr, der an einem promiscuous Access-Port einfügbar ist, wird an alle sekundären VLAN-Ports auf dem Gerät weitergeleitet. Wenn der Datenverkehr über einen VLAN-fähigen Port in das Gerät einfing und an einem promiscuous Access-Port ausgehend abtritt, wird der Datenverkehr nicht mehr bezeichnet. Wenn Tagged Traffic-Ingresses auf einem Promiscuous Access-Port, wird der Datenverkehr verworfen.

• Interswitch-Linkport: Ein ISL-Port (Interswitch Link) ist ein Trunk-Port, der zwei Router verbindet, wenn ein PVLAN diese Router überspannt. Der ISL-Port ist ein Mitglied aller VLANs innerhalb des PVLAN (d. h. dem primären VLAN, den Community-VLANs und dem isolierten VLAN).

  Die Kommunikation zwischen einem ISL-Port und einem isolierten Port ist unidirektional. Die Mitgliedschaft eines ISL-Ports im isolierten Interswitch-VLAN ist "Egress-Only". Der eingehende Datenverkehr auf dem ISL-Port wird also nie dem isolierten VLAN zugewiesen. Ein isolierter Port kann Pakete an einen PVLAN-Trunkport übertragen, aber ein PVLAN-Trunkport kann Pakete nicht an einen isolierten Port übertragen. Tabelle 3 fasst zusammen, ob Layer 2-Konnektivität zwischen den verschiedenen Ports vorhanden ist.

Tabelle 2 fasst die Layer 2-Konnektivität zwischen den verschiedenen Ports innerhalb eines PVLAN auf Switches der EX-Serie, die ELS unterstützen, zusammen.

Tabelle 4 fasst zusammen, ob layer 2-Konnektivität zwischen den verschiedenen Ports innerhalb eines PVLAN vorhanden ist oder nicht.

Wie bereits in erwähnt, ist die Layer 2-Kommunikation zwischen einem isolierten Port und Tabelle 4 einem PVLAN-Trunkport unidirektional. Das heißt, ein isolierter Port kann Pakete nur an einen PVLAN-Trunkport senden, und ein PVLAN-Trunkport kann Pakete nur von einem isolierten Port empfangen. Dagegen kann ein PVLAN-Trunkport Pakete nicht an einen isolierten Port senden, und ein isolierter Port kann Pakete nicht von einem PVLAN-Trunkport empfangen.

Das hier dargestellte Flussdiagramm vermittelt ihnen einen allgemeinen Grundgedanken zum Prozess der Abbildung 6 Erstellung von PVLANs. Wenn Sie Ihre Konfigurationsschritte in der angezeigten Reihenfolge abschließen, verletzen Sie nicht diese PVLAN-Regeln. (Bei den PVLAN-Regeln gilt die Konfiguration des PVLAN-Trunkports nur für ein PVLAN, das mehrere Router umfasst.)

• Das primäre VLAN muss ein TAGGED VLAN sein.

• Wenn Sie eine VLAN-ID für die Community konfigurieren möchten, muss zunächst das primäre VLAN konfiguriert werden.

• Zur Konfiguration einer isolierten VLAN-ID müssen Sie zuerst das primäre VLAN konfigurieren.

Die Konfiguration eines VLAN auf einem einzelnen Router ist relativ einfach, wie in Abbildung 6 gezeigt.

Abbildung 6: Konfigurieren eines PVLAN auf einem einzelnen Switch

Die Konfiguration eines primären VLANs besteht aus diesen Schritten:

1. Konfigurieren Sie den primären VLAN-Namen und das 802.1Q-Tag.

2. Festlegen no-local-switching auf dem primären VLAN.

3. Konfigurieren Sie den promiscuous Trunk-Port und die Zugriffsports.

4. Machen Sie den promiscuous Trunk und die Access Ports-Mitglieder des primären VLANs.

Innerhalb eines primären VLANs können Sie sekundäre Community-VLANs oder sekundäre isolierte VLANs oder beides konfigurieren. Die Konfiguration eines sekundären VLAN für eine sekundäre Community umfasst diese Schritte:

1. Konfigurieren Sie ein VLAN mithilfe des gewohnten Prozesses.

2. Konfigurieren Sie Zugangsschnittstellen für das VLAN.

3. Dem Community-VLAN ein primäres VLAN zuweisen,

Isolierte VLANs werden intern erstellt, wenn das isolierte VLAN als Mitglieder über Zugriffschnittstellen verfügt und die Option im no-local-switching primären VLAN aktiviert ist.

802.1Q-Tags sind für isolierte Interswitch-VLANs erforderlich, da IEEE 802.1Q einen internen Tagging-Mechanismus verwendet, durch den ein Trunking-Gerät eine 4-Byte VLAN-Frame-Identifizierungs-Registerkarte in den Paket-Header einträgt.

Trunk-Ports werden nur für Multirouter-PVLAN-Konfigurationen benötigt– der Trunkport überleitt den Datenverkehr vom primären VLAN und allen sekundären VLANs.

• Eine Zugriffsschnittstelle kann nur einer PVLAN-Domäne gehören, d. b. sie kann nicht an zwei verschiedenen primären VLANs teilnehmen.

• Eine Trunkschnittstelle kann ein Mitglied von zwei sekundären VLANs sein, solange sich die sekundären VLANs in zwei verschiedenen primären VLANs befinden. Eine Trunkschnittstelle kann nicht ein Mitglied von zwei sekundären VLANs sein, die sich im gleichen primären VLAN befinden.

• Ein einzelner Bereich des Multiple Spanning Tree Protocol (MSTP) muss in allen VLANs konfiguriert werden, die zum PVLAN gehören.

• VLAN Spanning Tree Protocol (VSTP) wird nicht unterstützt.

• IGMP-Snooping wird von privaten VLANs nicht unterstützt.

• Geroutete VLAN-Schnittstellen werden in privaten VLANs nicht unterstützt

• Routing zwischen sekundären VLANs im selben primären VLAN wird nicht unterstützt.

• Einige Konfigurations anweisungen können nicht auf einem sekundären VLAN angegeben werden. Sie können die folgenden Anweisungen nur auf der primären [edit vlans vlan-name switch-options] PVLAN-Ebene konfigurieren.

• Wenn Sie ein primäres VLAN in ein sekundäres VLAN ändern möchten, müssen Sie es zuerst in ein normales VLAN ändern und die Änderung festlegen. Sie befolgen z. B. folgendes Verfahren:

  1. Ändern Sie das primäre VLAN in ein normales VLAN.

  2. Commit für die Konfiguration.

  3. Ändern Sie das normale VLAN in ein sekundäres VLAN.

  4. Commit für die Konfiguration.

  Befolgen Sie die gleiche Abfolge von Commits, wenn Sie ein sekundäres VLAN in ein primäres VLAN ändern möchten. Das heißt, machen Sie das sekundäre VLAN zu einem normalen VLAN, und commit diese Änderung, und ändern Sie dann das normale VLAN in ein primäres VLAN.

Die folgenden Funktionen werden auf PVLANs auf Junos-Switches nicht unterstützt, da sie den ELS-Konfigurationsstil unterstützen:

• Egress VLAN Firewall-Filter

• Ethernet-Ring-Schutz (ERP)

• Flexibles VLAN-Tagging

• Globale Mac-Statistiken

• Integrierte Routing- und Bridging-Schnittstelle (IRB)

• Multi-Chassis Link Aggregation Groups (MC-LAGs)

• Port-Spiegelung

• Q-in-Q-Tunneling

• VLAN Spanning Tree Protocol (VSTP)

• Voice over IP (VoIP)

Sie können die folgenden Anweisungen nur auf der primären [edit vlans vlan-name switch-options] PVLAN-Ebene konfigurieren:

• MAC-Tabellengröße

• ohne Mac-Learning

• Mac-Statistiken

• interface-mac-limit

PVLANs können die folgenden verschiedenen Porttypen verwenden:

• Promiscuous Trunk Port: Ein Promiscuous Port ist ein Upstream-Trunkport, der mit einem Router, einer Firewall, einem Server oder einem Provider-Netzwerk verbunden ist. Ein promiscuous Trunk-Port kann mit allen Schnittstellen kommunizieren, einschließlich der isolierten und Community-Ports innerhalb eines PVLAN.

• PVLAN-Trunkport: In Multiswitch-PVLAN-Konfigurationen ist ein PVLAN-Trunkport erforderlich, der die Switches umspannt. Der PVLAN-Trunkport ist ein Mitglied aller VLANs innerhalb des PVLAN (d. h. dem primären VLAN, den Community-VLANs und dem isolierten Interswitch-VLAN) und über nimmt Datenverkehr vom primären VLAN und allen sekundären VLANs. Es kann mit allen Ports kommunizieren.

  Die Kommunikation zwischen einem PVLAN-Trunkport und einem isolierten Port erfolgt in der Regel unidirektional. Die Mitgliedschaft eines PVLAN-Trunkports im isolierten Interswitch-VLAN ist "Egress-Only". Das bedeutet, dass ein isolierter Port Pakete an einen PVLAN-Trunkport übertragen kann. Ein PVLAN-Trunkport führt Pakete jedoch nicht an einen isolierten Port weiter (wenn die Pakete nicht an einen promiscuous Access Port gesendet werden und daher an alle sekundären VLANs im selben primären VLAN wie der promiscuous Port weitergeleitet werden).

• Sekundärer VLAN-Trunkport: Sekundäre VLAN-Trunk-Ports tragen sekundären VLAN-Datenverkehr weiter. Für ein bestimmtes privates (primäres) VLAN kann ein sekundärer VLAN-Trunkport Datenverkehr für nur ein sekundäres VLAN tragen. Ein sekundärer VLAN-Trunkport kann jedoch Datenverkehr für mehrere sekundäre VLANs portieren, solange jedes sekundäre VLAN Mitglied eines anderen primären VLANs ist. Beispielsweise kann ein sekundärer VLAN-Trunkport Datenverkehr für ein Community-VLAN, das Teil des primären VLAN pvlan100 ist, und Datenverkehr für ein isoliertes VLAN, das Teil des primären VLAN pvlan400 ist, weiter tragen.

  Anmerkung:

  Wenn der Datenverkehr von einem sekundären VLAN-Trunkport ausgehend wird, transportiert er normalerweise den Tag des primären VLAN, dem der sekundäre Port gehört. Wenn Sie den Datenverkehr, der von einem sekundären VLAN-Trunkport aus geht, zum Beibehalten des sekundären VLAN-Tags nutzen möchten, verwenden Sie die extend-secondary-vlan-id Anweisung.

• Community-Port: Community-Ports kommunizieren untereinander und mit ihren Promiscuous-Ports. Community-Ports dienen nur einer ausgewählten Gruppe von Benutzern. Diese Schnittstellen sind auf Layer 2 von allen anderen Schnittstellen in anderen Communities oder isolierten Ports innerhalb ihres PVLAN voneinander getrennt.

• Isolierter Zugriffsport: Isolierte Ports verfügen über Layer 2-Konnektivität nur mit Promiscuous-Ports und PVLAN-Trunk-Ports. Ein isolierter Zugriffsport kann nicht mit einem anderen isolierten Port kommunizieren, auch wenn diese beiden Ports Mitglieder desselben isolierten VLANs sind.

• Promiscuous Access-Port: Diese Ports tragen nicht-tags-Datenverkehr und können nur Teil eines primären VLANs sein. Datenverkehr, der an einem promiscuous Access-Port einfügbar ist, wird an die Ports der sekundären VLANs weitergeleitet, die Mitglieder des primären VLANs sind, zu denen der promiscuous Access Port gehört. In diesem Fall transportiert der Datenverkehr das entsprechende sekundäre VLAN-Tag, wenn er vom sekundären VLAN-Port abteust, wenn der sekundäre VLAN-Port ein Trunk-Port ist. Wenn der Datenverkehr über einen sekundären VLAN-Port ein- und ausgehend an einem promiscuous Access-Port liegt, wird der Datenverkehr nicht tags tags auf dem Ausgangspunkt versiert. Wenn Tagged Traffic-Ingresses auf einem Promiscuous Access-Port, wird der Datenverkehr verworfen.

Beachten Sie bei der Verwendung eines sekundären VLAN-Trunkports Folgendes:

• Sie müssen eine isolierte VLAN-ID für jedes primäre VLAN konfigurieren, an dem der sekundäre VLAN-Trunkport beteiligt ist. Dies gilt auch, wenn die sekundären VLANs, die der sekundäre VLAN-Trunkport trägt, auf einem einzigen Gerät begrenzt sind.

• Wenn Sie einen Port als sekundären VLAN-Trunkport für ein bestimmtes primäres VLAN konfigurieren, können Sie auch den gleichen physischen Port zu einem der folgenden konfigurieren:

  • Sekundärer VLAN-Trunkport für ein weiteres primäres VLAN

  • PVLAN-Trunk für ein weiteres primäres VLAN

  • Promiscuous Trunk-Port

  • Zugriffsport für ein nicht privates VLAN

• Datenverkehr, der an einem sekundären VLAN-Trunkport (mit einem sekundären VLAN-Tag) ein- und ausgehend an einem PVLAN-Trunkport einfing, hält das sekundäre VLAN-Tag auf dem Ausgangs-Port.

• Datenverkehr, der an einem sekundären VLAN-Trunkport ein- und ausgehend an einem Promiscuous Trunk-Port einfügbar ist, hat den entsprechenden primären VLAN-Tag auf dem Ausgangspunkt.

• Der Datenverkehr, der an einem sekundären VLAN-Trunkport ein- und ausgehend an einem promiscuous Access-Port einfing, wird nicht auf dem Ausgangspunkt versiert.

• Datenverkehr, der an einem Promiscuous Trunk-Port mit einem primären VLAN-Tag ein- und ausgehend an einem sekundären VLAN-Trunkport einfügt, transportiert das entsprechende sekundäre VLAN-Tag auf dem Ausgangs-Port. Gehen Sie beispielsweise davon aus, dass Sie Folgendes auf einem Switch konfiguriert haben:

  • Primärer VLAN 100

  • Community VLAN 200 als Teil des primären VLAN

  • Promiscuous Trunk-Port

  • Sekundärer Trunkport, der Community-VLAN 200 transportiert

  Wenn ein Paket an einem Promiscuous Trunk-Port mit primärem VLAN-Tag 100 und dem Egress-Port am sekundären VLAN-Trunkport einträgt, transportiert es Tag 200 auf dem Ausgangspunkt.

Sie können jetzt sowohl 802.1X-Authentifizierung als auch private VLANs (PVLANs) auf der gleichen Schnittstelle konfigurieren.

Die 802.1X-Authentifizierung von IEEE bietet Netzwerk-Edge-Sicherheit und schützt Ethernet-LANs vor unbefugtem Benutzerzugriff, indem der vollständige Datenverkehr zu und von einem Supplicant (Client) an der Schnittstelle blockiert wird, bis die Anmeldeinformationen des Supplicants präsentiert und dem Authentifizierungsserver (einem RADIUS-Server) abgestimmt werden.

Private VLANs (PVLANs) bieten eine Layer 2-Isolierung zwischen Ports innerhalb eines VLAN und teilen eine Broadcast-Domäne in mehrere separate Broadcast-Unterdomains durch das Erstellen sekundärer VLANs. PVLANs sind zur Beschränkung des Broadcast- und unbekannten Unicast-Datenverkehrs und zur Beschränkung der Kommunikation zwischen bekannten Hosts nützlich.

Auf einem Switch, der sowohl mit 802.1X-Authentifizierung als auch mit PVLANs konfiguriert ist, wird das Gerät authentifiziert und dann basierend auf der PVLAN-Konfiguration oder dem RADIUS-Profil einem sekundären VLAN zugewiesen, wenn ein neues Gerät an das PVLAN-Netzwerk angeschlossen wird. Das Gerät erhält dann eine IP-Adresse und erhält Zugriff auf das PVLAN-Netzwerk.

Beachten Sie die folgenden Richtlinien und Beschränkungen für die Konfiguration dieser beiden Funktionen an der gleichen Schnittstelle:

• Eine 802.1X-fähige Schnittstelle kann nicht als Promiscuous-Schnittstelle (eine Schnittstelle, die konfigurationlich Teil des primären VLANs ist) oder als Interswitch-Link (ISL)-Schnittstelle konfiguriert werden.

• Mehrere Benutzer können nicht über verschiedene VLANs authentifiziert werden, die zur gleichen PVLAN-Domäne auf einer logischen Schnittstelle gehören. Wenn beispielsweise die Schnittstelle ge-0/0/0 als schnittstelle konfiguriert und die Clients C1 und C2 authentifiziert und zu den dynamischen VLANs V1 und V2 hinzugefügt werden, müssen V1 und V2 zu verschiedenen supplicant multiple PVLAN-Domänen gehören.

• Wenn das VoIP-VLAN und das Daten-VLAN unterschiedlich sind, müssen sich diese beiden VLANs in unterschiedlichen PVLAN-Domänen befinden.

• Wenn die PVLAN-Mitgliedschaft geändert wird (d. h. eine Schnittstelle in einem anderen PVLAN neu konfiguriert wird), müssen Die Clients erneut authentifiziert werden.

Sie können jetzt Sicherheitsfunktionen für den Zugriffsport, wie DHCP-Snooping, in privaten VLANs (PVLANs) aktivieren.

Aus Sicherheitsgründen ist es oft nützlich, den Fluss von Broadcast- und unbekanntem Unicast-Datenverkehr zu beschränken und die Kommunikation zwischen bekannten Hosts sogar zu beschränken. Mit der PVLAN-Funktion können Sie eine Broadcast-Domäne in mehrere isolierte Broadcast-Unterdomains aufteilen, so dass ein VLAN im Wesentlichen in ein VLAN übertragen wird.

Ethernet-LANs sind anfällig für Angriffe wie Address Spoofing (Forging) und Layer 2 Denial of Service (DoS) auf Netzwerkgeräten. Die folgenden Sicherheitsfunktionen für den Zugangsport schützen Ihr Gerät vor Verlust von Informationen und Produktivität, die solche Angriffe verursachen können. Sie können diese Sicherheitsfunktionen jetzt auf einem PVLAN konfigurieren:

• DHCP-Snooping: Filter und Blöcke, die DHCP-Servernachrichten auf nicht vertrauenswürdigen Ports senden. DHCP-Snooping baut eine Datenbank mit DHCP-Lease-Informationen, die als DHCP-Snooping-Datenbank bezeichnet wird, und verwaltet sie.

• DHCPv6-Snooping – DHCP-Snooping für IPv6.

• DHCP-Option 82 – auch als DHCP Relay Agent Information-Option bekannt. Schützt den Switch vor Angriffen wie Spoofing von IP-Adressen und MAC-Adressen und der Aushunger von DHCP-IP-Adressen. Option 82 stellt Informationen zum Netzwerkstandort eines DHCP-Clients zur Verfügung. Der DHCP-Server nutzt diese Informationen zur Implementierung von IP-Adressen oder anderen Parametern für den Client.

• DHCPv6-Optionen:

  • Option 37 – Option mit Remote-ID für DHCPv6; fügt Informationen über den Netzwerkstandort des Remote-Hosts in DHCPv6-Pakete ein.

  • Option 18 – Circuit ID-Option für DHCPv6; fügt Informationen über den Client-Port in DHCPv6-Pakete ein.

  • Option 16 – Option mit Anbieter-ID für DHCPv6; fügt Informationen über den Anbieter der Client-Hardware in DHCPv6-Pakete ein.

• Dynamic ARP Inspection (DAI): Verhindert ARP-Spoofing-Angriffe (Address Resolution Protocol). ARP-Anforderungen und -Antworten werden mit Einträgen in der DHCP-Snoopingdatenbank verglichen, und Filterungsentscheidungen werden anhand der Ergebnisse dieser Vergleiche getroffen.

• IP Source Guard – Verringert die Auswirkungen von IP-Adressen-Spoofing-Angriffen auf das Ethernet-LAN; überprüft die Quell-IP-Adresse im Paket, das über eine nicht vertrauenswürdige Zugriffsschnittstelle mithilfe der DHCP-Snooping-Datenbank gesendet wird. Wenn das Paket nicht validiert werden kann, wird es verworfen.

• IPv6 Source Guard – IP Source Guard für IPv6.

• IPv6 Neighbor Discovery Inspection – Verhindert IPv6-Adressen-Spoofing-Angriffe; Vergleich von Neighbor Discovery-Anforderungen und Antworten mit Einträgen in der DHCPv6-Snooping-Datenbank, und Filterentscheidungen werden anhand der Ergebnisse dieser Vergleiche getroffen.

Berücksichtigen Sie die folgenden Richtlinien und Beschränkungen für die Konfiguration von Sicherheitsfunktionen für den Zugriffsport in PVLANs:

• Sie müssen die gleichen Sicherheitsfunktionen für den Zugriffsport sowohl auf das primäre VLAN als auch auf alle sekundären VLANs anwenden.

• Ein PVLAN kann nur eine integrierte Routing und Bridging (IRB)-Schnittstelle haben, und die IRB-Schnittstelle muss sich im primären VLAN finden.

• Einschränkungen von Sicherheitskonfigurationen für Zugriffsport bei PVLANs sind die gleichen wie bei Konfigurationen der Sicherheitsfunktionen für Zugriffsport, die nicht in PVLANs sind. Informationen zur Sicherheitsdokumentation für Access Ports finden Sie im Leitfaden Security Services Administration.

• Problem
• Lösung

• Problem
• Lösung

• Problem
• Lösung